阶段一：金丝雀发布（Canary）

金丝雀发布是策略编排灰度验证的起始阶段，也是风险最低、流量最小的验证环节。其核心理念源于煤矿工人携带金丝雀检测有毒气体的历史做法——用一只“金丝雀”暴露在最前端，一旦出现问题，立即切断风险，避免整个集群受损。在策略编排场景中，金丝雀发布意味着将新策略或新配置仅部署到极小比例的线上流量中，通过实时监控确认其行为符合预期后，再逐步扩大范围。

1. 定义

金丝雀发布（Canary Release）是指将新版本的策略、规则或配置，先部署到一小部分真实用户或请求上，与当前稳定版本（基线）并行运行，通过对比两组流量的行为差异来验证新策略的正确性与稳定性。在策略编排体系中，金丝雀发布通常作用于策略引擎的规则节点、评分模型或流量调度逻辑。

2. 目标

金丝雀发布阶段的核心目标可以归纳为以下四点：

• 风险隔离： 将新策略的潜在影响范围控制在最小比例内，避免大面积故障。
• 功能验证： 确认新策略在真实生产流量下的执行逻辑、输出结果与预期一致。
• 性能基线： 对比金丝雀组与基线组的延迟、吞吐量、资源消耗等指标，确保新策略不会引入性能退化。
• 异常捕获： 通过监控与告警系统，快速发现错误率上升、超时、数据异常等信号，触发自动回滚。

3. 流量比例（1%–5%）

金丝雀阶段的流量比例通常控制在 1% 到 5% 之间。这个范围是经过大量生产实践验证的安全区间：

选择 1%–5% 的依据在于：该比例足以产生统计学上可观测的指标差异，同时即使新策略完全失效，对整体业务的影响也微乎其微。流量分配通常通过策略引擎的 流量染色 或 请求哈希 机制实现，确保同一用户的请求始终落入同一分组。

4. 监控指标

金丝雀阶段的监控必须覆盖策略执行的完整链路，以下是指标体系的三个核心维度：

4.1 业务指标

• 策略命中率： 金丝雀组中实际触发新策略的请求占比，用于确认流量分配正确。
• 输出分布： 新策略输出的分数、标签、决策结果与基线组的分布对比（如 KS 检验）。
• 业务转化率： 如果策略影响用户行为（如推荐、定价），需对比转化率、点击率等。

4.2 系统指标

• P99 延迟： 新策略执行链路的端到端延迟，与基线组对比，容忍上限通常为 +10%。
• 错误率： 策略执行抛出的异常、超时、返回码非 200 的比例，目标为 0%。
• CPU/内存增量： 策略引擎节点在引入新策略后的资源消耗变化。

4.3 可观测性指标

• 日志覆盖率： 金丝雀组的策略执行日志是否完整输出，用于事后审计。
• 链路追踪采样： 确保新策略的调用链能被追踪系统完整记录。
• 告警触发率： 金丝雀阶段是否产生了预期外的告警，以及告警的误报率。